Office マルウェアフォレンジックラボ — REMnux 静的解析

概要

REMnux と oletools スイートを使用した、2 つの悪意のある Microsoft Office ドキュメントの静的フォレンジック解析。ファイルは一切実行されず、すべての解析は隔離された REMnux VM 内で静的に実施されました。

環境

• OS: REMnux (隔離された VM、ホストマシンへの共有フォルダなし)
• ツール: sha256sum, file, unzip, oletools (oleid, olevba, oledump, mraptor)
• サンプルソース: MalwareBazaar (bazaar.abuse.ch) — abuse.ch がセキュリティ研究用に管理するキュレーション済みマルウェアリポジトリ
• 解析タイプ: 静的のみ — いかなる時点でもサンプルは実行されません

解析対象サンプル

サンプル 1 — 悪意のある Word ドキュメント (.docx)

SHA-256: 68e82279bff55cf3b9f1f22ec4a165b1b1245a359f7e8d86664b2541d8f8d3fe ファイルタイプ: ZIP アーカイブ (Office Open XML コンテナ)

主な発見事項:

• nste.xml は XML コンテナ内に埋め込まれた Rich Text Format データとして識別 — 回避試行を示す異常なファイルタイプ不一致
• OLE オブジェクト 0: EXECUTABLE FILE とラベル付けされた埋め込み VBS 実行可能ファイル (419876.vbs、196KB) — MD5: a1142366224a45e8b241403a6868187b
• OLE オブジェクト 1: Equation.3 エクスプロイト — CVE-2017-11882 (Microsoft Equation Editor のリモートコード実行) CLSID: 20E02C00-0000-0000-0C00-000000000004

判定: 悪意あり — マクロを必要とせずに VBS ペイロードをドロップするため CVE-2017-11882 を悪用した武器化された Office ドキュメント

---

サンプル 2 — 悪意のある Excel ファイル (.xlsx)

SHA-256: dc65419ba5d83b980d7018198a14209fa2f5ebf6f99d47bfe9f586852087befe ファイルタイプ: Composite Document File V2 (.xlsx 拡張子にもかかわらずレガシー OLE 形式) — Microsoft Excel 97-2003 作成日: 2006年9月16日 | 最終保存: 2026年6月15日

主な発見事項:

• ファイルが暗号化されている (FILEPASS レコード) — シグネチャベースのスキャナからマクロの内容を隠蔽
• VBA マクロが 4 つのストリーム (Sheet1–3、ThisWorkbook) に存在
• mraptor フラグ: A=AutoExec, W=Write, X=Execute — マクロは開いたときに自動実行され、コードを書き込み・実行
• 非表示のシートが 1 つ検出
• 16 進エンコードされた文字列が存在 — 検出を回避するための難読化
• 復号後の VBA マクロソースは空 — XLM マクロ層を介したペイロード配信と一致

判定: 悪意あり — 自動実行マクロ、書き込み・実行機能、非表示シート、難読化されたペイロードを備えた暗号化 Excel ファイル

---

解析手法

1. SHA-256 ハッシュを生成し、証拠保全 (チェーン・オブ・カストディ) を検証
2. file コマンドを使用して、宣言された拡張子と実際のファイルタイプを識別
3. oleid を使用して、高レベルのインジケータトリアージ (暗号化、マクロ、外部リレーションシップ) を実施
4. oledump を使用して、OLE ストリームと埋め込みオブジェクトを列挙
5. olevba を使用して、VBA マクロのソースコードを抽出・難読化解除
6. mraptor を使用して、AutoExec、Write、Execute のマクロ動作を検出

実証された主要概念

• Office ドキュメントのフォレンジック手法
• OLE コンテナ構造の解析
• 静的インジケータからの CVE 識別 (CVE-2017-11882)
• VBA マクロのトリアージと動作フラグの検出
• マルウェア回避手法としてのファイルタイプ不一致
• AV 回避手法としての暗号化と 16 進文字列難読化
• 暗号学的ハッシュによる証拠保全 (チェーン・オブ・カストディ)

サンプルソース

両サンプルは、abuse.ch がセキュリティ研究目的で運営するキュレーション済み脅威インテリジェンスプラットフォーム MalwareBazaar (bazaar.abuse.ch) から入手しました。

参考文献

• CVE-2017-11882: Microsoft Equation Editor の RCE
• oletools by Philippe Lagadec: https://github.com/decalage2/oletools
• MalwareBazaar: https://bazaar.abuse.ch
• REMnux ドキュメント: https://docs.remnux.org